Compte professionnel Facebook piraté : comment le récupérer et le sécuriser

Vous vous réveillez, et sur la page Facebook de votre entreprise il y a des publications inconnues, des publicités payées avec votre argent, ou vous ne parvenez plus à vous connecter. Voilà à quoi ressemble un piratage typique d’un compte professionnel. Plus vous réagissez vite, plus vous avez de chances de récupérer la page et moins les pertes sont importantes.

Dans ce guide, vous trouverez un plan pour la première heure après l’attaque, la description de l’arnaque la plus courante et une liste de protections que vous pouvez mettre en place en 10 minutes. Je l’écris pour les personnes qui dirigent une entreprise et n’ont pas besoin de s’y connaître en informatique. Je donne les noms des options d’après le Centre d’aide Meta, état au 22 octobre 2026. Meta modifie souvent l’apparence des paramètres : ils peuvent donc légèrement différer chez vous.

À quoi ressemble une attaque typique : le faux « Meta Support »

Le scénario le plus fréquent commence par un message ou un commentaire sous une publication. L’auteur se présente comme « Meta Support » ou comme « l’équipe chargée des droits d’auteur », et écrit que votre page a enfreint les droits d’auteur ou sera bloquée dans les 24 heures. Il joint un lien vers un « formulaire de contestation ».

Le lien mène à une page qui ressemble à la connexion à Facebook. Quand vous y saisissez votre mot de passe et le code de l’application, l’attaquant obtient l’accès. Ensuite, il s’ajoute comme administrateur, vous supprime et modifie les données du compte.

Ces messages ont des traits communs :

• la pression du temps : « vous avez 24 heures », « la page sera supprimée »,
• un lien vers un formulaire au lieu d’une demande d’aller sur Facebook de la manière habituelle,
• un expéditeur étrange : un profil privé, un compte récent ou une adresse e-mail extérieure aux domaines de Meta (d’après le Centre d’aide, la correspondance de Meta ne vient que des domaines fb.com, facebook.com, facebookmail.com, instagram.com, meta.com et metamail.com),
• une demande de mot de passe ou de code reçu par SMS ou via l’application d’authentification.

Ne cliquez jamais sur les liens de tels messages, même s’ils viennent d’une véritable adresse de Meta. Meta avertit que des escrocs envoient dans Business Manager (le gestionnaire d’entreprise de Meta) des invitations à collaborer contenant des liens d’hameçonnage, et que les notifications correspondantes arrivent du véritable domaine facebookmail.com. Si vous voulez vérifier qu’il y a un problème avec le compte, ouvrez Facebook vous-même, sans cliquer sur le lien, et consultez les notifications, la section Statut de la Page ainsi que Meta Business Suite.

Première heure après le piratage : plan pas à pas

Agissez calmement, mais tout de suite. Chaque minute, ce sont des publicités potentiellement payées, des messages à vos clients et des escroqueries qui se font passer pour votre entreprise.

1. Essayez de vous connecter à votre compte privé, qui était administrateur de la page. Si vous y parvenez, changez immédiatement le mot de passe pour un nouveau, long et unique.
2. Déconnectez les appareils inconnus. Dans le Centre de comptes, choisissez « Mot de passe et sécurité », puis « Où vous êtes connecté(e) ». Vous y verrez les sessions actives avec la date, le lieu et le type d’appareil. Via « Sélectionner les appareils à déconnecter », terminez les sessions que vous ne reconnaissez pas, et dans le doute cochez « Tout sélectionner ».
3. Vérifiez qui a accès à la page. Basculez vers la page et, dans ses paramètres, passez en revue les personnes disposant d’un accès Facebook et d’un accès aux tâches, puis la liste des personnes dans Meta Business Suite. Supprimez celles que vous ne connaissez pas. Vous ne pouvez le faire que si vous avez encore le contrôle total de la page.
4. Vérifiez l’adresse e-mail et le numéro de téléphone associés au compte. Les attaquants les changent souvent en premier.
5. Suspendez les publicités et les paiements si vous y avez accès. Consultez les moyens de paiement et supprimez la carte que vous ne voulez pas utiliser. En cas de débits inconnus, contactez votre banque.
6. Signalez le piratage à Meta. Si vous vous connectez à votre compte mais n’avez plus accès à la page, envoyez le formulaire de l’article du Centre d’aide « Récupérer une Page Facebook piratée que vous gérez » (facebook.com/help/738660629556925). Meta s’efforce de répondre dans un délai d’un jour. Le formulaire ne fonctionne qu’une fois connecté et seulement si l’accès à la page a été perdu récemment. Si vous ne pouvez pas vous connecter, allez sur facebook.com/hacked depuis l’appareil que vous utilisez habituellement pour Facebook.
7. Faites des captures d’écran des publications inconnues, des messages de « Meta Support », des notifications de modifications et des connexions inconnues. Elles serviront lors du signalement.
8. Prévenez vos clients par un autre canal : fiche d’établissement Google, site web, SMS ou newsletter. Écrivez que le compte Facebook a été piraté et qu’il ne faut pas cliquer sur les liens suspects.

Texte prêt à copier :

Attention : notre page Facebook a été piratée par des personnes sans lien avec notre entreprise. Merci de ne pas cliquer sur les liens ni de répondre aux messages qui en proviennent tant que nous n’avons pas récupéré le compte. Nous publierons les nouvelles informations ici et sur notre site web.

Si vous ne pouvez pas vous connecter

Si l’attaquant a changé le mot de passe, l’e-mail et le numéro de téléphone, allez sur facebook.com/hacked. Meta conseille de le faire depuis l’appareil que vous utilisez habituellement pour vous connecter à Facebook. L’assistant vous demandera le numéro de téléphone ou l’adresse e-mail enregistrés sur le compte. Si l’attaquant les a changés, essayez ceux qui étaient associés auparavant. Meta peut aussi vous demander de confirmer votre identité, par exemple par une courte vidéo selfie (Meta la décrit comme facultative) ou par une photo d’une pièce d’identité.

Préparez des preuves que la page appartient à votre entreprise :

• l’adresse du site web qui contient le lien vers Facebook,
• les données de l’entreprise issues du CEIDG (registre central polonais des entreprises individuelles) ou du KRS (Krajowy Rejestr Sądowy, registre judiciaire national polonais) et la fiche d’établissement Google,
• les factures de publicités Meta ou les confirmations de paiement,
• d’anciennes captures d’écran du panneau d’administration.

Ne créez pas une nouvelle page ni un compte « de secours » à la place de la récupération de l’ancien. Une nouvelle page repart de zéro, sans abonnés ni avis, tandis que celle qui a été piratée continue de fonctionner sous le nom de votre entreprise.

Et Meta Verified ?

Meta propose aux entreprises l’abonnement payant Meta Verified. Sur le site polonais de Meta for Business (état au 22 octobre 2026), le forfait le moins cher, Business Standard, coûte 14,99 USD par mois pour une Page Facebook, un compte Instagram ou un numéro WhatsApp, et les forfaits supérieurs 49,99, 149,99 et 499,99 USD. Meta précise que les forfaits, les prix et la disponibilité dépendent de la région et du compte ; vous ne verrez donc le montant pour votre page qu’au moment de l’achat. Dès le forfait le moins cher, vous obtenez le badge de vérification, une protection contre l’usurpation d’identité et un contact avec un agent 24 h/24 par chat ou par e-mail, même si Meta précise que cette assistance peut ne pas encore être disponible pour tous les abonnés. Depuis septembre 2026, les fonctions de Meta Verified figurent aussi dans le nouvel abonnement Meta One, que Meta décrit comme encore en test et non disponible partout.

Avant d’acheter, gardez deux choses à l’esprit. L’abonnement s’active depuis la page de l’entreprise : c’est donc plutôt une protection pour l’avenir qu’une bouée de sauvetage quand vous avez déjà perdu l’accès. De plus, Meta recommande même aux abonnés à Meta Verified d’envoyer le formulaire gratuit habituel de récupération de page, car c’est la voie la plus rapide. Ne considérez donc pas l’abonnement comme une garantie de récupérer le compte, et ne payez pas sous le coup de l’émotion.

Liste de protections en 10 minutes

Après avoir récupéré le compte, et idéalement avant même une attaque, faites ces choses. Chacune prend une minute ou deux.

• [ ] Activez l’authentification à deux facteurs sur le compte de chaque personne ayant accès à la page (Centre de comptes > Mot de passe et sécurité > Authentification à deux facteurs). De préférence via une application d’authentification ou une clé de sécurité, plutôt que par SMS.
• [ ] Enregistrez les codes de récupération (Facebook en fournit 10, à usage unique, au cas où vous n’auriez pas votre téléphone) dans un endroit sûr, par exemple un gestionnaire de mots de passe.
• [ ] Donnez le contrôle total de la page à deux personnes : vous-même et une personne de confiance. Chacune doit avoir son propre compte, distinct.
• [ ] Utilisez une adresse e-mail distincte pour le compte d’administrateur. Ne la rendez pas publique et n’utilisez pas la même que celle de la messagerie professionnelle affichée sur le site.
• [ ] Définissez un mot de passe unique et long et conservez-le dans un gestionnaire de mots de passe. N’utilisez pas le même que pour la messagerie.
• [ ] Vérifiez dans Meta Business Suite la liste des personnes ayant accès et leurs autorisations. Aux collaborateurs qui ne font que publier, donnez un contrôle partiel ou un accès aux tâches, pas le contrôle total.
• [ ] Supprimez les anciens administrateurs : un ancien collaborateur, une agence, une connaissance qui vous a aidé à un moment donné.
• [ ] Activez les alertes de connexion depuis des appareils non reconnus (Centre de comptes > Mot de passe et sécurité).
• [ ] Vérifiez l’adresse e-mail de récupération du compte et le numéro de téléphone. Ils doivent être à vous et à jour.
• [ ] Notez dans l’entreprise qui a accès à la page et aux publicités, et ce qu’il faut faire en cas d’attaque.

N’oubliez pas que le mot de passe de la messagerie est aussi une clé de Facebook. Si quelqu’un prend le contrôle de votre e-mail, il peut réinitialiser le mot de passe de tout. Activez aussi l’authentification à deux facteurs pour la messagerie.

Deux administrateurs : pourquoi c’est si important

Dans beaucoup de petites entreprises, la page est gérée par une seule personne : le propriétaire ou « quelqu’un qui s’y connaît en Facebook ». Quand ce compte est piraté, personne ne peut retirer ses droits à l’attaquant. Deux administrateurs, c’est-à-dire, dans le langage de Facebook, deux personnes ayant un accès Facebook et le contrôle total, constituent l’assurance la plus simple. Une telle personne a les mêmes droits que vous, y compris celui de vous retirer de la page : choisissez donc quelqu’un de confiance.

Règles :

• les deux personnes ont leur propre compte, avec l’authentification à deux facteurs activée,
• personne ne partage son mot de passe avec d’autres,
• pour les tâches quotidiennes, comme publier, vous donnez aux autres personnes un contrôle partiel ou un accès aux tâches,
• une fois tous les quelques mois, vous vérifiez la liste des personnes ayant accès.

Que faire après avoir récupéré la page

Une fois l’accès récupéré, ne vous arrêtez pas au changement de mot de passe. Passez en revue tout l’historique et les traces de l’attaque :

1. Supprimez les publications, publicités, applications et intégrations inconnues.
2. Vérifiez que l’attaquant n’a modifié ni le nom de la page, ni le lien, ni la catégorie, ni les coordonnées.
3. Consultez le compte publicitaire et vérifiez les dépenses ainsi que les moyens de paiement.
4. Vérifiez qu’aucune application, page ou compte Instagram inconnus n’a été connecté à la page.
5. Informez vos clients que le problème est résolu.
6. Si des données personnelles de clients se trouvaient dans les messages ou sur le compte, vérifiez vos obligations au titre du RGPD sur uodo.gov.pl ou consultez un juriste. Lorsque la violation peut menacer les clients, la notification au président de l’UODO (l’autorité polonaise de protection des données personnelles) doit être envoyée dans les 72 heures suivant la constatation de la violation (art. 33 du RGPD). Il s’agit d’une information générale, et non d’un conseil juridique.

Il vaut aussi la peine de vérifier les autres endroits où vous utilisez le même mot de passe ou la même adresse e-mail : la messagerie, le panneau d’administration du site, le Profil d’entreprise Google, la boutique. Si l’un d’eux a été exposé, changez les mots de passe immédiatement.

Comment vérifier que le reste de votre entreprise en ligne est sûr

Un compte Facebook piraté s’avère souvent le début d’une histoire plus longue : le même mot de passe fonctionne dans le panneau du site, la messagerie ou la boutique. Il vaut la peine de vérifier une fois que le reste est bien protégé. Vous pouvez faire un rapide tour d’horizon du site avec l’outil gratuit Analyser votre site. Il contrôle notamment la sécurité et la messagerie du domaine (SPF, DMARC).

Si vous voulez une évaluation plus précise des formulaires, de la connexion et de la protection contre les robots, je réalise un audit de sécurité avec un rapport et des corrections concrètes. Si le compte de votre entreprise sur les réseaux sociaux a été négligé, je peux aussi créer et configurer de nouveau les profils et les groupes, avec des rôles et des règles clairs. Je parle de la protection de la messagerie du domaine dans le guide sur les e-mails professionnels en spam (SPF, DKIM, DMARC).

En résumé

Quand le compte Facebook de l’entreprise est piraté, la rapidité de réaction compte : changer les mots de passe, déconnecter les appareils, vérifier qui a accès à la page et faire le signalement via le formulaire de récupération de page ou facebook.com/hacked. La meilleure défense, ce sont l’authentification à deux facteurs, deux personnes avec le contrôle total de la page et une adresse e-mail distincte pour le compte.

Si vous avez besoin d’aide pour passer en revue vos protections ou remettre de l’ordre dans les profils de votre entreprise, écrivez-moi. Je réponds sous 24 heures, et tout nouveau client bénéficie de 20 % de remise sur sa première commande.